Atención aviso Pancake bajo un ataque DNS

[paxmao]

Literal del twitter.

EDITADO

No vayas al sitio de Pancake ni introduzcas claves privadas. Parece estar bajo un ataque  DNS.

Ya es publico y reconocido en el twitter de Binance y el oficial de Pancake, esta en curso un hack en el website de Pancake, uno de los proyectos (una subcadena de Binance Smart Chain).

Se trata de un ataque de secuestro de DNS  similar al que en su momento ocurrio en Etherdelta. In that case, being a very minor DEX with low volumes, el hacker Elliott Gunton obtuvo el equivalente aproximado a 269.000 USD.

Estos ataques se basan en explotar la posible vulnerabilidad de los servidores de Domain Name Servers (o tambien de routers) y dirigir a los usuarios a una direccion IP distinta a la autentica. Alli se haya una pagina en apariencia identica a la original pero destinada a capturar contrasenias y claves.

Ahora queda por ver el volumen robado y si consiguen cazar al hacker o hackers - si es que no son de algun gobierno.

This is now confirmed.

DO NOT go to the Pancakeswap site until we confirm it is all clear.

NEVER EVER input your seed phrase or private keys on a website.

We are working on recovery now.

Sorry for the trouble.
Quote Tweet
PancakeSwap 🥞 #BSC
@PancakeSwap
 · 3h
There is a chance we have been DNS hijacked, the same as @CreamdotFinance.

Until we are able to confirm this is not the case, do not use the site.

We will confirm ASAP.

In the meantime, better safe than sorry.

Please retweet for visibility!

[DdmrDdmr]

Por lo visto, la alerta está lanzada para varios proyectos DeFi, los cuales están siendo sometidos a un DNS hijack attack.

Ver: https://twitter.com/cz_binance/status/1371473348866179072

Básicamente, el efecto neto para el usuario es similar al phishing, pero algo peor, dado que puede acabar en una página que clónica que robe las claves, haciéndole creer a uno que está en la web correcta (dado que uno usó la url que, a priori, era la buena).

Ver: https://www.imperva.com/learn/application-security/dns-hijacking-redirection/

[womanderful]

No lo entiendo.

Pongamos que debido a este ataque yo acabo conectándome a 5.6.7.8 en lugar de conectarme a 1.2.3.4. Ok, el navegador se conecta a 5.6.7.8 y lo siguiente que hace es negociar el TLS (asumiendo que me conecto a https://blablabla). El atacante no está en posesión del certificado y el navegador muestra un aviso de TLS. Fin del ataque. ¿Qué me estoy perdiendo?

[DdmrDdmr]

<...>

En principio, el navegador debería dar un aviso, tal y como capturó este usuario al intentar acceder:
https://twitter.com/CaddarkCrypto/status/1371477187535249414
Otra cosa el lo que haga la gente, y/o cómo se visualiza en los diferentes navegadores.

Las respuestas son bastante antiguas en este hilo, pero apunta a posibles vectores de ataque al tema del SSL (claro que son tan antiguas, que puede que no sean ni factibles hoy por hoy):
https://security.stackexchange.com/questions/3857/can-a-https-connection-be-compromised-because-of-a-rogue-dns-server

[paxmao]

No lo entiendo.

Pongamos que debido a este ataque yo acabo conectándome a 5.6.7.8 en lugar de conectarme a 1.2.3.4. Ok, el navegador se conecta a 5.6.7.8 y lo siguiente que hace es negociar el TLS (asumiendo que me conecto a https://blablabla). El atacante no está en posesión del certificado y el navegador muestra un aviso de TLS. Fin del ataque. ¿Qué me estoy perdiendo?

La estupidez humana, las prisas, la falta de conocimiento... O mejor dicho, tu no te estas perdiendo nada, pero hay otros q si. Durante el hack de etehrdelta tambien se podia ver claramente q la pagina no era segura y aun asi...